Je ne clone plus de dépôt crypto sans d’abord lire sa configuration, et l’avertissement de SlowMist d’aujourd’hui montre exactement pourquoi.
SlowMist a signalé aujourd’hui des dépôts GitHub malveillants — dont un appelé sol-live, présenté comme un outil d’entraînement aux entretiens Solidity — qui dissimulent des commandes dans le fichier .vscode/settings.json du projet. Une fois déclenché, ce code caché peut surveiller votre presse-papiers, exécuter des commandes à distance, téléverser des fichiers et s’en prendre aux identifiants de connexion de votre navigateur, aux données du trousseau macOS et à celles des extensions de portefeuille. Il cible les utilisateurs de macOS et Linux, et vise clairement les développeurs, pas les traders pris au hasard.
Voilà ce que j’en pense : c’est un aspect de la sécurité crypto dont on ne parle pas assez. On se focalise sur les phrases de récupération et les liens d’hameçonnage, puis on clone sans hésiter le dépôt d’un inconnu et on laisse ses paramètres d’espace de travail s’exécuter sur notre machine. Un dépôt, c’est l’exécution de code, un point c’est tout — surtout lorsqu’il vous demande de lancer une étape de configuration dans le terminal. Si vous développez dans la crypto, ce fichier de paramètres mérite autant de méfiance qu’une demande de connexion à un portefeuille.
Ma règle, désormais : lire .vscode/settings.json avant de faire confiance à un dépôt, ne jamais lancer son installation sur une machine qui contient de vrais portefeuilles, et, dans la mesure du possible, séparer le développement du trading en utilisant des machines différentes. Le déguisement en outil d’entraînement aux entretiens rend cette attaque particulièrement vicieuse : elle cible les personnes qui cherchent à apprendre, pas celles qui sont avides de gains.
Est-ce que vous vérifiez vraiment les fichiers de configuration d’un dépôt avant de le cloner, ou est-ce moi qui suis parano ?
SlowMist a signalé aujourd’hui des dépôts GitHub malveillants — dont un appelé sol-live, présenté comme un outil d’entraînement aux entretiens Solidity — qui dissimulent des commandes dans le fichier .vscode/settings.json du projet. Une fois déclenché, ce code caché peut surveiller votre presse-papiers, exécuter des commandes à distance, téléverser des fichiers et s’en prendre aux identifiants de connexion de votre navigateur, aux données du trousseau macOS et à celles des extensions de portefeuille. Il cible les utilisateurs de macOS et Linux, et vise clairement les développeurs, pas les traders pris au hasard.
Voilà ce que j’en pense : c’est un aspect de la sécurité crypto dont on ne parle pas assez. On se focalise sur les phrases de récupération et les liens d’hameçonnage, puis on clone sans hésiter le dépôt d’un inconnu et on laisse ses paramètres d’espace de travail s’exécuter sur notre machine. Un dépôt, c’est l’exécution de code, un point c’est tout — surtout lorsqu’il vous demande de lancer une étape de configuration dans le terminal. Si vous développez dans la crypto, ce fichier de paramètres mérite autant de méfiance qu’une demande de connexion à un portefeuille.
Ma règle, désormais : lire .vscode/settings.json avant de faire confiance à un dépôt, ne jamais lancer son installation sur une machine qui contient de vrais portefeuilles, et, dans la mesure du possible, séparer le développement du trading en utilisant des machines différentes. Le déguisement en outil d’entraînement aux entretiens rend cette attaque particulièrement vicieuse : elle cible les personnes qui cherchent à apprendre, pas celles qui sont avides de gains.
Est-ce que vous vérifiez vraiment les fichiers de configuration d’un dépôt avant de le cloner, ou est-ce moi qui suis parano ?